Demandez aux experts en actifs numériques ce que les débutants devraient apprendre avant d'acheter leur première cryptomonnaie, et la réponse ne portera presque jamais sur les graphiques ou le choix des jetons. Il s'agit avant tout de sécurité. Dans un univers d'actifs au porteur où les transactions sont définitives et où le service client ne peut pas corriger une erreur, les habitudes que vous adoptez dès le premier jour déterminent si vos avoirs survivront à la première année.
La base, c'est la garde. Les comptes sur les plateformes d'échange sont pratiques, mais ils constituent une promesse, pas une possession. La garde autonome via un portefeuille matériel élimine le risque de contrepartie, au prix d'une responsabilité personnelle. Ce compromis est réel dans les deux sens, et les conseillers honnêtes le reconnaissent : tout le monde ne devrait pas nécessairement gérer immédiatement ses propres clés, mais chacun devrait comprendre ce que cela implique lorsque quelqu'un d'autre s'en charge.
Les phrases de récupération restent le talon d'Achille du secteur, non pas parce que la technologie est défaillante, mais parce que les humains le sont. Noter douze ou vingt-quatre mots sur un bout de papier et les conserver en lieu sûr semble d'une simplicité enfantine, jusqu'à ce que l'on constate combien de fortunes ont été perdues à cause de photos, de notes stockées dans le cloud, d'imprimantes et de proches bien intentionnés. Les sauvegardes redondantes, hors ligne et géographiquement séparées sont fastidieuses, mais indispensables.
Le phishing continue d'évoluer plus rapidement que toute autre menace. Les campagnes modernes reproduisent à l'identique les interfaces des portefeuilles numériques, font de la publicité via des résultats de recherche piratés et vont même jusqu'à acheter des publicités d'apparence authentique sur les principales plateformes. La défense repose sur des procédures et non sur des aspects techniques : ajoutez les services que vous utilisez à vos favoris, ne validez jamais de transactions que vous ne comprenez pas entièrement et considérez tout message non sollicité comme malveillant jusqu'à preuve du contraire.
Les chercheurs en sécurité recommandent systématiquement aux lecteurs de suivre l'actualité de la cryptographie pour se tenir informés des campagnes d'escroquerie en cours, car les stratagèmes utilisés changent d'un mois à l'autre et un avertissement donné hier ne suffit pas à protéger contre la variante de demain de la même attaque.
Les risques liés aux contrats intelligents méritent tout autant d’attention. Même les protocoles audités peuvent échouer, et l’histoire de la finance décentralisée s’écrit en partie à travers des analyses rétrospectives. Diversifier ses choix entre différents protocoles, limiter les autorisations à ce que l’on utilise réellement et révoquer périodiquement les autorisations obsolètes à l’aide d’outils fiables sont autant de mesures qui permettent de réduire l’ampleur des dégâts lorsqu’un problème finit par survenir.
L'ingénierie sociale vient compléter le panorama des menaces. Les attaquants se font passer pour des membres du personnel d'assistance, des fondateurs de projets et même des journalistes, établissant une relation de confiance pendant plusieurs semaines avant de passer à l'action. Aucun service légitime ne vous demandera jamais votre phrase de récupération, ne vous poussera à prendre une décision précipitée ni ne vous contactera de sa propre initiative au sujet d'un prétendu problème. En intériorisant ces trois règles, vous pouvez contrer la plupart des menaces de cette catégorie.
La sécurité opérationnelle ne se limite pas à la cryptographie proprement dite. Le compte de messagerie associé à vos plateformes d’échange, le numéro de téléphone utilisé pour l’authentification à deux facteurs et les appareils sur lesquels vous signez vos transactions font tous partie du même périmètre de sécurité. Des mots de passe uniques, un gestionnaire de mots de passe fiable et une authentification via une application ou un dispositif matériel permettent de combler les failles que les pirates exploitent réellement.
De nombreux utilisateurs expérimentés tiennent également à jour une simple liste de contrôle écrite pour toute nouvelle plateforme, et les guides communautaires recommandent souvent de consulter les actualités sur les cryptomonnaies pour prendre connaissance des nouveaux schémas de fraude, car comprendre comment les victimes récentes ont été approchées est le moyen le plus fiable de reconnaître la même approche lorsqu’elle finira par arriver dans votre propre boîte de réception.
Il n'y a pas lieu d'être paranoïaque. Le secteur a mûri, les outils se sont améliorés et les règles élémentaires de sécurité qui protègent la grande majorité des utilisateurs s'apprennent en un week-end. Ce qu'il ne faut surtout pas faire, c'est remettre cela à plus tard. C'est avant que votre portefeuille ne prenne de l'importance qu'il faut prendre de bonnes habitudes en matière de sécurité, car après, les leçons ont tendance à coûter bien plus cher.
La planification successorale est cet aspect de la sécurité que presque tout le monde repousse à plus tard. Les actifs numériques compliquent la succession d’une manière que la finance traditionnelle n’a jamais connue : un héritier qui ne parvient pas à retrouver les clés n’hérite de rien, quelles que soient les dispositions du testament. Répertorier ce que vous possédez, où cela se trouve et comment une personne de confiance pourrait y accéder, le tout conservé en toute sécurité et mis à jour chaque année, est un geste de prévoyance qui ne prend qu’un après-midi et protège tout ce que vous avez construit.
Les services d'assurance et de récupération gagnent peu à peu en maturité pour combler les lacunes restantes. Des prestataires spécialisés couvrent désormais certains dispositifs de garde, et certains services à signatures multiples permettent des voies de récupération qui auraient été impossibles avec les premières versions de portefeuilles. Aucune de ces solutions n'élimine la responsabilité personnelle, mais elles atténuent les risques catastrophiques et méritent d'être envisagées dès lors qu'un portefeuille dépasse la valeur du temps consacré à sa protection.
L'éducation reste la meilleure défense. La plupart des victimes d'escroqueries décrivent a posteriori le même moment de prise de conscience : les signes avant-coureurs étaient bien là, mais elles ne les connaissaient tout simplement pas encore. Les communautés, les chercheurs en sécurité et les publications fiables publient des analyses détaillées de chaque type de fraude majeur quelques jours seulement après son apparition, et passer une heure à lire ces analyses constitue l'investissement en sécurité le plus rentable qui soit pour tout un chacun.
Enfin, il est utile de s'entraîner. Imaginez ce que vous feriez si votre appareil principal tombait en panne aujourd'hui, si votre plateforme de trading bloquait les retraits demain, ou si un membre de votre famille devait localiser vos avoirs le mois prochain. Soit les réponses vous viennent facilement, car vos systèmes gèrent déjà ces situations, soit elles ne vous viennent pas, auquel cas vous avez identifié précisément le travail à effectuer ce week-end plutôt qu'après la situation d'urgence.
Les habitudes de voyage et de vie ont plus d'importance que ne l'admettent la plupart des guides. Les aéroports, les hôtels et les espaces de travail partagés concentrent les risques : réseaux inconnus, moments d'inattention, appareils hors de vue. Une règle de voyage simple, consistant à ne pas utiliser son portefeuille sur des réseaux non sécurisés et à ne pas effectuer de transactions importantes loin de chez soi, permet d'éliminer toute une catégorie de situations qui représentent une part surprenante des pertes signalées.
La prudence dans les conversations est un autre rempart discret. De nombreux vols commencent par des informations divulguées sans y prêter attention : le montant que vous détenez, où vous le conservez, les services que vous utilisez. Les pirates rassemblent ces fragments d'informations sur les réseaux sociaux, dans les messages de forums et dans des remarques faites à la légère. Moins vous divulguez de détails publics sur vos dispositions, moins vous constituez une cible importante et attrayante.
Pour ceux qui aident des membres de leur famille à se lancer dans ce domaine, les responsabilités sont décuplées. Le proche qui fait confiance à vos conseils héritera également de votre culture de la sécurité ; veillez donc à ce que les mesures par défaut soient solides : des portefeuilles matériels pour les montants importants, des sauvegardes sur papier et une réponse bien rodée à la question de sécurité avant même qu’elle ne soit posée. Il vaut mieux inculquer les bonnes habitudes que de simplement enseigner les codes boursiers.
Le secteur lui-même ne cesse de relever la barre. Les logiciels de portefeuille signalent désormais les adresses malveillantes connues, les plateformes d'échange vérifient les retraits à l'aide de bases de données sur la fraude, et les extensions de navigateur signalent les demandes de signature suspectes avant que vous ne les validiez. Ces protections bloquent la plupart des attaques courantes, laissant de côté celles qui sont ciblées, auxquelles vous devrez faire face en fonction de vos propres habitudes.
Ce qui est encourageant, c’est que tout le monde peut adopter un comportement sécurisé, à condition d’être un peu plus vigilant que l’utilisateur moyen. Les pirates s’attaquent aux personnes négligentes ; ils abandonnent rapidement les cibles dont les habitudes rendent l’exploitation trop coûteuse. Devenez une cible « coûteuse », continuez à vous former, et la promesse technologique d’une véritable souveraineté individuelle deviendra une réalité concrète plutôt qu’un simple slogan.
